JP2015069227A - 認証サーバ、認証方法及び認証プログラム - Google Patents

Abstract

【課題】デバイスのネットワークへの不正接続を防ぐことができる認証サーバ、認証方法及び認証プログラムを提供する。【解決手段】認証サーバ１は、ゲートウェイ２に収容される複数のセンサデバイス３の通信の挙動を示すパフォーマンス情報を取得する取得部１１と、パフォーマンス情報を蓄積するデバイス情報ＤＢ２１と、蓄積されたパフォーマンス情報に基づいて、センサデバイス３の正常な挙動を示すモデルデータを生成する生成部１２と、モデルデータを記憶する判定モデルＤＢ２２と、新たに取得されたパフォーマンス情報を、モデルデータと照合し、センサデバイス３のリスクレベルを判定する判定部１３と、判定されたリスクレベルに応じて、センサデバイス３によるゲートウェイより外部のネットワークへの接続を管理する管理部１４と、を備える。【選択図】図１

Description

本発明は、リスクベースの認証サーバ、認証方法及び認証プログラムに関する。

ネットワークに接続されたセンサデバイス等の各種デバイス同士が相互に情報交換を行うＭ２Ｍ（Ｍａｃｈｉｎｅ ｔｏ Ｍａｃｈｉｎｅ）と呼ばれる通信形態の利用が進んでいる。Ｍ２Ｍには、デバイス自身が通信モジュールを備えてモバイルネットワークに接続する形態、及び近傍に複数存在するデバイスをゲートウェイで一旦収容してモバイルネットワークに接続する形態がある。
後者の形態では、モバイルネットワークに接続するための通信モジュールを各デバイスが備える必要がないため、デバイスのコストが抑えられる。この場合、デバイスの処理能力又はメモリ容量等が十分でなく、機能が制限されていることもある。

また、第三者のなりすましにより、ネットワーク上のリソースが不正利用されることを防ぐためのセキュリティ対策として、危険度をレベル分けして評価するリスクベース認証と呼ばれるユーザ認証が行われている。
例えば、特許文献１では、ユーザ毎の属性又はトランザクションの属性に応じてリスクレベルの評価結果を変化させる技術が提案されている。
また、特許文献２では、インターネット上の危険度の変化に応じてリスクレベルの評価結果を変化させる技術が提案されている。

特開２０１０−０９７４６７号公報 特開２０１０−１５２６６０号公報

しかしながら、前述の技術は、ユーザがＰＣを利用して、オンラインバンキング等のＷｅｂアプリケーションを利用する際に、このＷｅｂアプリケーションへのアクセスを制限するものであり、インターネットへのアクセス自体を制限するものではない。

また、Ｍ２Ｍシステムで利用されるデバイスには、メモリ又はＣＰＵ等のリソースの限られたものが存在する。このようなデバイスには、認証プロトコル等のセキュリティに関する機能が実装されないため、デバイスの個体識別番号で区別してインターネットへの接続可否が判断される。この場合、なりすましにより不正デバイスがインターネットへ接続することを防ぐことは難しかった。

本発明は、デバイスのネットワークへの不正接続を防ぐことができる認証サーバ、認証方法及び認証プログラムを提供することを目的とする。

本発明に係る認証サーバは、ゲートウェイに収容される複数のデバイスの通信の挙動を示すパフォーマンス情報を、当該ゲートウェイから取得する取得部と、前記パフォーマンス情報を蓄積するデバイス情報記憶部と、前記デバイス情報記憶部に蓄積されたパフォーマンス情報に基づいて、前記デバイスの正常な挙動を示すモデルデータを生成する生成部と、前記モデルデータを記憶する判定モデル記憶部と、前記取得部により新たに取得されたパフォーマンス情報を、前記モデルデータと照合し、当該パフォーマンス情報に対応するデバイスのリスクレベルを判定する判定部と、前記判定部により判定された前記リスクレベルに応じて、前記デバイスによる前記ゲートウェイより外部のネットワークへの接続を管理する管理部と、を備える。

前記取得部は、前記デバイスの仕様情報を、更に前記ゲートウェイから取得し、前記デバイス情報記憶部は、前記仕様情報と前記パフォーマンス情報とを対応付けて蓄積し、前記生成部は、前記仕様情報の種類毎に前記モデルデータを生成してもよい。

前記判定部は、前記取得部により新たに取得された仕様情報に応じて、前記リスクレベルの判定基準を調整してもよい。

前記取得部は、前記判定部により判定された前記リスクレベルに応じて段階的に、前記ゲートウェイから追加のパフォーマンス情報を取得し、前記判定部は、前記追加のパフォーマンス情報に基づいて、前記リスクレベルを調整してもよい。

前記管理部は、前記リスクレベルが所定範囲である場合、当該リスクレベルを所定の管理者端末へ通知してもよい。

前記管理部は、前記管理者端末へリスクレベルを通知したことに応じて、当該管理者端末から前記ゲートウェイに対する制御方法の指示データを受信してもよい。

前記判定部は、所定の時間間隔で前記リスクレベルを判定してもよい。

本発明に係る認証方法は、ゲートウェイに収容される複数のデバイスの通信の挙動を示すパフォーマンス情報を、当該ゲートウェイから取得する取得ステップと、前記パフォーマンス情報を蓄積するデバイス情報記憶ステップと、前記蓄積されたパフォーマンス情報に基づいて、前記デバイスの正常な挙動を示すモデルデータを生成する生成ステップと、前記モデルデータを記憶する判定モデル記憶ステップと、新たに取得されたパフォーマンス情報を、前記モデルデータと照合し、当該パフォーマンス情報に対応するデバイスのリスクレベルを判定する判定ステップと、前記リスクレベルに応じて、前記デバイスによる前記ゲートウェイより外部のネットワークへの接続を管理する管理ステップと、をコンピュータが実行する。

本発明に係る認証プログラムは、ゲートウェイに収容される複数のデバイスの通信の挙動を示すパフォーマンス情報を、当該ゲートウェイから取得する取得ステップと、前記パフォーマンス情報を蓄積するデバイス情報記憶ステップと、前記蓄積されたパフォーマンス情報に基づいて、前記デバイスの正常な挙動を示すモデルデータを生成する生成ステップと、前記モデルデータを記憶する判定モデル記憶ステップと、新たに取得されたパフォーマンス情報を、前記モデルデータと照合し、当該パフォーマンス情報に対応するデバイスのリスクレベルを判定する判定ステップと、前記リスクレベルに応じて、前記デバイスによる前記ゲートウェイより外部のネットワークへの接続を管理する管理ステップと、をコンピュータに実行させる。

本発明によれば、デバイスのネットワークへの不正接続を防止できる。

認証システムの機能構成を示すブロック図である。 リスクレベルの判定基準を例示する図である。 リスク学習処理を示すフローチャートである。 リスク分析処理を示すフローチャートである。

以下、本発明の実施形態の一例について説明する。
図１は、本実施形態に係る認証サーバ１を含む認証システム１００の機能構成を示すブロック図である。
認証システム１００は、認証処理を実行する認証サーバ１と、ゲートウェイ２と、センサデバイス３と、管理者端末４とを備える。

ゲートウェイ２は、複数のセンサデバイス３を収容する。ゲートウェイ２とセンサデバイス３とは、例えば、ＺｉｇＢｅｅ（登録商標）、ＷｉＦｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、所定の通信プロトコルにより無線又は有線で相互に通信を行う。また、ゲートウェイ２は、３Ｇ又は４Ｇ等の所定のネットワーク６への接続又は切断を制御し、センサデバイス３を、例えばインターネット上のクラウドデータベース５と接続させる。

センサデバイス３は、例えば、家屋、店舗、公共施設又は建造物等に設置され、環境情報を取得してクラウドへ送信するデバイスである。センサデバイス３は、例えば、温度計、湿度計、加速度計、火災検知器、人感センサ、カメラ等、既存の様々なセンサを含む。

管理者端末４は、センサデバイス３の正規の利用者（管理者）が使用する端末であり、ネットワーク７を介して認証サーバ１と接続される。このネットワーク７は、ゲートウェイ２がクラウドにアクセスするネットワーク６と少なくとも一部が共通であってもよい。

認証サーバ１は、制御部１０と、記憶部２０と、通信部３０とを備え、ゲートウェイ２から取得するデータに基づいて、センサデバイス３のリスクレベル認証を行う。

制御部１０は、認証サーバ１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各種機能を実現している。制御部１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であってよい。
また、制御部１０が備える各部の機能の詳細は後述する。

記憶部２０は、ハードウェア群を認証サーバ１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスク（ＨＤＤ）等であってよい。具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させる認証プログラム、デバイス情報ＤＢ（データベース）２１、判定モデルＤＢ２２等を記憶する。

デバイス情報ＤＢ２１は、複数のセンサデバイス３の仕様情報と通信の挙動を示すパフォーマンス情報とを対応付けて蓄積する。
仕様情報は、例えば、センサデバイス３の識別子、デバイスクラス、位置情報、ＣＰＵの種類、メモリ容量等を含み、デバイスの種類及び性能を示す情報である。
パフォーマンス情報は、例えば、データ量、データ転送間隔、パケットのシーケンス番号、接続要求回数等を含む。

判定モデルＤＢ２２は、センサデバイス３の正常な挙動を示すモデルデータを記憶する。このモデルデータと乖離した挙動を示すセンサデバイス３が不正なデバイスとして判定される。

通信部３０は、認証サーバ１が他の装置と通信する場合のネットワーク・アダプタである。具体的には、通信部３０は、所定のネットワーク６を介して、ゲートウェイ２と通信し、デバイス情報の受信及び制御信号の送信を行う。

次に、制御部１０の機能を詳述する。
制御部１０は、取得部１１と、生成部１２と、判定部１３と、管理部１４とを備える。

取得部１１は、複数のセンサデバイス３の仕様情報及びパフォーマンス情報を、ゲートウェイ２から取得する。センサデバイス３は、自身に関する仕様情報を保有しており、ゲートウェイ２と接続する際には、この仕様情報をゲートウェイ２と共有する。そして、ゲートウェイ２は、この仕様情報とパフォーマンス情報とを対応付けて、メタデータとして認証サーバ１へ送信する。

また、取得部１１は、判定部１３により判定されたリスクレベルに応じて段階的に、ゲートウェイ２から追加のパフォーマンス情報を取得する。追加のパフォーマンス情報は、例えば通信のログデータ等、通信の内容を示す情報であってよく、リスクレベルをより正確に判定するための情報である。

生成部１２は、デバイス情報ＤＢ２１に蓄積されたパフォーマンス情報に基づいて、仕様情報の種類毎にセンサデバイス３の正常な挙動を示すモデルデータを生成する。

判定部１３は、取得部１１により新たに取得されたパフォーマンス情報を、判定モデルＤＢ２２のモデルデータと照合し、このパフォーマンス情報に対応するセンサデバイス３のリスクレベルを判定する。
このとき、判定部１３は、取得部１１により新たに取得された仕様情報に応じて、リスクレベルの判定基準を調整する。

また、判定部１３は、取得部１１により追加のパフォーマンス情報を取得した場合、この追加のパフォーマンス情報に基づいて、リスクレベルを調整する。例えば、判定されたリスクレベルが高いほど、判定部は、取得するパフォーマンス情報を増やし、リスクレベルの信頼度を向上させる。
なお、追加の情報に基づくリスクレベル判定は、これら追加の情報を含むモデルデータとの比較に基づいてもよいし、既知の不正情報又は正常情報との比較に基づいてもよい。
また、取得部１１がリスクレベル判定のために第１段階で取得するパフォーマンス情報は、モデルデータ生成のために蓄積するパフォーマンス情報よりも少ない種類であってもよい。この場合、リスクレベル判定には、モデルデータの一部のみが参照される。そして、判定部１３は、第２段階以降で、残りの種類のパフォーマンス情報を要求する。

判定部１３は、ゲートウェイ２から連続的に仕様情報及びパフォーマンス情報を取得してもよいが、所定の時間間隔で受信し、デバイス情報の蓄積及びリスクレベル判定を間欠的に行ってもよい。

図２は、本実施形態に係るリスクレベルの判定基準を例示する図である。
判定部１３は、パフォーマンス情報をモデルデータと照合し、モデルデータとの乖離度（横軸）に応じて、リスクレベル（例えば、レベル１〜４）を判定する。

また、仕様情報に基づくクラウドへの影響度、すなわち、センサデバイス３の種類及び能力により想定される不正処理のバリエーション及び脅威の度合いに応じて、リスクレベルの判定基準（横軸の閾値）を調整する。具体的には、影響度が大きいほど、リスクレベルが高く判定される。

管理部１４は、判定部１３により判定されたリスクレベルに応じて、センサデバイス３によるネットワーク６への接続を管理する。具体的には、管理部１４は、判定されたリスクレベルが所定範囲（例えば、レベル２〜３）である場合、このリスクレベルを管理者端末４へ通知すると共に、リスクレベルに応じてゲートウェイ２を制御し、センサデバイス３のネットワーク６への接続を制限させる。例えば、管理部１４は、リスクレベルに応じて、センサデバイス３のネットワーク６への接続を完全に遮断したり、一部の種類のパケットのみを伝送可能にしたりする。このとき、明らかに安全なリスクレベル（例えば、レベル１）の場合、及び明らかに不正接続と判断できるリスクレベル（たとえば、レベル４）の場合には、管理部１４は、管理者端末４へ通知することなく、ゲートウェイ２を制御してもよい。
このとき、管理部１４は、管理者端末４へリスクレベルを通知したことに応じて、管理者端末４からゲートウェイ２に対する制御方法の指示データを受信してもよい。

図３は、本実施形態に係るリスク学習処理を示すフローチャートである。
ステップＳ１において、取得部１１は、ゲートウェイ２から、センサデバイス３のデバイス情報として、仕様情報及びパフォーマンス情報を取得する。

ステップＳ２において、取得部１１は、ステップＳ１で取得したデバイス情報を、デバイス情報ＤＢ２１に記憶する。

ステップＳ３において、生成部１２は、モデルデータを生成するタイミング（例えば、所定の時間周期）であるか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ４に移り、判定がＮＯの場合、処理はステップＳ１に戻る。

ステップＳ４において、生成部１２は、デバイス情報ＤＢ２１から、所定期間に蓄積されたデバイス情報を抽出する。

ステップＳ５において、生成部１２は、ステップＳ４で抽出したデバイス情報をクラスタリングすることにより、デバイスの種類毎に、１又は複数の代表的なパフォーマンス情報からなるモデルデータを生成する。

ステップＳ６において、生成部１２は、判定モデルＤＢ２２を更新し、ステップＳ５で生成したモデルデータを記憶する。

図４は、本実施形態に係るリスク分析処理を示すフローチャートである。
ステップＳ１１において、取得部１１は、ゲートウェイ２から、センサデバイス３のデバイス情報として、仕様情報及びパフォーマンス情報を取得する。

ステップＳ１２において、判定部１３は、ステップＳ１１で取得したデバイス情報を、判定モデルＤＢ２２と照合し、リスクレベルを判定する。

ステップＳ１３において、判定部１３は、ステップＳ１２で判定したリスクレベルに基づいて、追加のデバイス情報を取得するか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ１１に戻り、判定がＮＯの場合、処理はステップＳ１４に移る。

ステップＳ１４において、管理部１４は、ステップＳ１２で判定したリスクレベルが所定の範囲内（例えば、レベル２又は３）か否かを判定する。この判定がＹＥＳの場合、処理はステップＳ１５に移り、判定がＮＯの場合、処理はステップＳ１８に移る。

ステップＳ１５において、管理部１４は、ステップＳ１２で判定したリスクレベルを、管理者端末４へ通知する。

ステップＳ１６において、管理部１４は、ステップＳ１５の通知に対する応答として、管理者端末４から制御指示を受けたか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ１９に移り、判定がＮＯの場合、処理はステップＳ１７に移る。

ステップＳ１７において、管理部１４は、ステップＳ１５でリスクレベルを通知してから所定時間が経過したか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ１８に移り、判定がＮＯの場合、処理はステップＳ１６に戻る。

ステップＳ１８において、管理部１４は、ゲートウェイ２に対して、判定したリスクレベルに基づく既定の制御を行い、センサデバイス３のネットワーク６への接続を制限させる。

ステップＳ１９において、管理部１４は、ゲートウェイ２に対して、管理者端末４から指示された制御を行い、センサデバイス３のネットワーク６への接続を制限させる。

なお、本リスク分析処理は、所定の周期で実行されてもよいし、管理者端末４からの指示、又は認証サーバ１への直接指示入力に応じて実行されてもよい。

本実施形態によれば、認証サーバ１は、センサデバイス３のパフォーマンス情報の履歴から生成される正常な挙動を示すモデルデータと照合することにより、不正接続のリスクレベルを判定する。これにより、認証サーバ１は、判定したリスクレベルに応じてセンサデバイス３によるネットワーク６への接続を制御できるので、センサデバイス３のネットワーク６への不正接続を防止できる。
この結果、認証サーバ１は、第三者の不正接続によるネットワーク６のタダ乗りのリスク、ネットワーク攻撃の踏み台にされるリスク、ネットワーク６への侵入による情報漏えいのリスク等を低減できる。

また、認証サーバ１は、センサデバイス３の仕様情報を取得し、種類毎にモデルデータを生成するので、判定用のモデルの信頼度が向上し、不正接続検出の精度を向上できる。
さらに、認証サーバ１は、仕様情報に応じてリスクレベルの判定基準を調整するので、センサデバイス３の性能に応じて変化する不正処理のバリエーション及び脅威の度合いに対して、適切にリスクレベルを判定することができる。

また、認証サーバ１は、判定したリスクレベルに応じて段階的に追加のデバイス情報を取得してリスクレベルを調整するので、リスクレベルが高いほど情報量を増やして、より正確な判定を行うことができる。さらに、認証サーバ１は、通常時又はリスクレベルが低い場合に取得するデバイス情報を低減できるので、通信量及び処理負荷を低減できる。

また、認証サーバ１は、判定したリスクレベルを管理者端末４へ通知するので、センサデバイス３の正規な利用者は、リスクの発生を迅速に把握でき対処することができる。
さらに、認証サーバ１は、管理者端末４から制御方法の指示データを受信することにより、利用者の判断に基づき、センサデバイス３のネットワーク６への接続に対して適切な制御を行うことができる。

また、認証サーバ１は、所定の時間間隔で間欠的にリスクレベルを判定するので、必要以上に判定処理を繰り返すことを抑制し、通信量及び処理負荷を低減できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。

認証サーバ１による認証方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（認証サーバ１）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。

１ 認証サーバ
２ ゲートウェイ
３ センサデバイス
４ 管理者端末
５ クラウドデータベース
１０ 制御部
１１ 取得部
１２ 生成部
１３ 判定部
１４ 管理部
２０ 記憶部
２１ デバイス情報ＤＢ
２２ 判定モデルＤＢ
３０ 通信部

Claims (9)

1. ゲートウェイに収容される複数のデバイスの通信の挙動を示すパフォーマンス情報を、当該ゲートウェイから取得する取得部と、
   前記パフォーマンス情報を蓄積するデバイス情報記憶部と、
   前記デバイス情報記憶部に蓄積されたパフォーマンス情報に基づいて、前記デバイスの正常な挙動を示すモデルデータを生成する生成部と、
   前記モデルデータを記憶する判定モデル記憶部と、
   前記取得部により新たに取得されたパフォーマンス情報を、前記モデルデータと照合し、当該パフォーマンス情報に対応するデバイスのリスクレベルを判定する判定部と、
   前記判定部により判定された前記リスクレベルに応じて、前記デバイスによる前記ゲートウェイより外部のネットワークへの接続を管理する管理部と、を備える認証サーバ。
2. 前記取得部は、前記デバイスの仕様情報を、更に前記ゲートウェイから取得し、
   前記デバイス情報記憶部は、前記仕様情報と前記パフォーマンス情報とを対応付けて蓄積し、
   前記生成部は、前記仕様情報の種類毎に前記モデルデータを生成する請求項１に記載の認証サーバ。
3. 前記判定部は、前記取得部により新たに取得された仕様情報に応じて、前記リスクレベルの判定基準を調整する請求項２に記載の認証サーバ。
4. 前記取得部は、前記判定部により判定された前記リスクレベルに応じて段階的に、前記ゲートウェイから追加のパフォーマンス情報を取得し、
   前記判定部は、前記追加のパフォーマンス情報に基づいて、前記リスクレベルを調整する請求項１から請求項３のいずれかに記載の認証サーバ。
5. 前記管理部は、前記リスクレベルが所定範囲である場合、当該リスクレベルを所定の管理者端末へ通知する請求項１から請求項４のいずれかに記載の認証サーバ。
6. 前記管理部は、前記管理者端末へリスクレベルを通知したことに応じて、当該管理者端末から前記ゲートウェイに対する制御方法の指示データを受信する請求項５に記載の認証サーバ。
7. 前記判定部は、所定の時間間隔で前記リスクレベルを判定する請求項１から請求項６のいずれかに記載の認証サーバ。
8. ゲートウェイに収容される複数のデバイスの通信の挙動を示すパフォーマンス情報を、当該ゲートウェイから取得する取得ステップと、
   前記パフォーマンス情報を蓄積するデバイス情報記憶ステップと、
   前記蓄積されたパフォーマンス情報に基づいて、前記デバイスの正常な挙動を示すモデルデータを生成する生成ステップと、
   前記モデルデータを記憶する判定モデル記憶ステップと、
   新たに取得されたパフォーマンス情報を、前記モデルデータと照合し、当該パフォーマンス情報に対応するデバイスのリスクレベルを判定する判定ステップと、
   前記リスクレベルに応じて、前記デバイスによる前記ゲートウェイより外部のネットワークへの接続を管理する管理ステップと、をコンピュータが実行する認証方法。
9. ゲートウェイに収容される複数のデバイスの通信の挙動を示すパフォーマンス情報を、当該ゲートウェイから取得する取得ステップと、
   前記パフォーマンス情報を蓄積するデバイス情報記憶ステップと、
   前記蓄積されたパフォーマンス情報に基づいて、前記デバイスの正常な挙動を示すモデルデータを生成する生成ステップと、
   前記モデルデータを記憶する判定モデル記憶ステップと、
   新たに取得されたパフォーマンス情報を、前記モデルデータと照合し、当該パフォーマンス情報に対応するデバイスのリスクレベルを判定する判定ステップと、
   前記リスクレベルに応じて、前記デバイスによる前記ゲートウェイより外部のネットワークへの接続を管理する管理ステップと、をコンピュータに実行させるための認証プログラム。

Images